SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场building-vulnerability-dashboard-with-defectdojo

building-vulnerability-dashboard-with-defectdojo

安全与审计

查看项目

更新于 10-15 15:21

技能介绍

概述

DefectDojo 是一款开源的应用漏洞管理平台，可聚合来自 200 多个安全工具的发现结果、对结果进行去重、跟踪修复进度，并提供面向管理层的看板。它可作为漏洞管理的中心枢纽，支持与 CI/CD 流水线集成、与 Jira 对接工单、与 Slack 对接通知。DefectDojo 支持基于 OWASP 的分类方式，并提供 REST API 用于自动化。

使用场景

  • 在环境中部署或配置该技能所述能力时
  • 建立符合合规要求的安全控制时
  • 为该领域构建或改进安全架构时
  • 执行需要该实现的安全评估时

前置条件

  • Docker 与 Docker Compose
  • 4GB 以上内存、2 个以上 CPU 核心、20GB 以上磁盘
  • PostgreSQL 12 及以上（Docker 部署中已内置）
  • Python 3.9 及以上，用于 API 集成脚本
  • Jira 实例（可选，用于工单集成）

部署

Docker Compose 部署

# 克隆 DefectDojo 仓库
git clone https://github.com/DefectDojo/django-DefectDojo.git
cd django-DefectDojo

# 以 Docker Compose 启动（生产模式）
./dc-up-d.sh

# 备选：手动 Docker Compose
docker compose up -d

# 查看服务状态
docker compose ps

# 查看初始管理员凭据
docker compose logs initializer 2>&1 | grep "Admin password"

# 通过 http://localhost:8080 访问 DefectDojo

环境配置

docker-compose.yml 中的关键环境变量：

DD_DATABASE_ENGINE=django.db.backends.postgresql
DD_DATABASE_HOST=postgres
DD_DATABASE_PORT=5432
DD_DATABASE_NAME=defectdojo
DD_DATABASE_USER=defectdojo
DD_DATABASE_PASSWORD=<secure_password>
DD_ALLOWED_HOSTS=*
DD_SECRET_KEY=<random_64_char_key>
DD_CREDENTIAL_AES_256_KEY=<random_128_bit_key>
DD_SOCIAL_AUTH_GOOGLE_OAUTH2_ENABLED=True

组织结构

层级关系：

产品类型（业务单元）
  └── 产品（应用/服务）
       └── 参与（评估/迭代）
            └── 测试（扫描器运行）
                 └── 发现（单个漏洞）

通过 API 初始化

import requests

DD_URL = "http://localhost:8080/api/v2"
API_KEY = "your_api_key_here"
HEADERS = {"Authorization": f"Token {API_KEY}", "Content-Type": "application/json"}

# 创建产品类型
resp = requests.post(f"{DD_URL}/product_types/", headers=HEADERS, json={
    "name": "Web Applications",
    "description": "Customer-facing web application portfolio"
})
product_type_id = resp.json()["id"]

# 创建产品
resp = requests.post(f"{DD_URL}/products/", headers=HEADERS, json={
    "name": "Customer Portal",
    "description": "Main customer-facing web application",
    "prod_type": product_type_id,
    "sla_configuration": 1,
})
product_id = resp.json()["id"]

# 创建参与
resp = requests.post(f"{DD_URL}/engagements/", headers=HEADERS, json={
    "name": "Q1 2024 Security Assessment",
    "product": product_id,
    "target_start": "2024-01-01",
    "target_end": "2024-03-31",
    "engagement_type": "CI/CD",
    "status": "In Progress",
})
engagement_id = resp.json()["id"]

扫描器集成

通过 API 导入扫描结果

# 上传 Nessus 扫描结果
curl -X POST "${DD_URL}/reimport-scan/" \
  -H "Authorization: Token ${API_KEY}" \
  -F "scan_type=Nessus Scan" \
  -F "file=@nessus_report.csv" \
  -F "product_name=Customer Portal" \
  -F "engagement_name=Q1 2024 Security Assessment" \
  -F "auto_create_context=true" \
  -F "deduplication_on_engagement=true"

# 上传 OWASP ZAP 结果
curl -X POST "${DD_URL}/reimport-scan/" \
  -H "Authorization: Token ${API_KEY}" \
  -F "scan_type=ZAP Scan" \
  -F "file=@zap_report.xml" \
  -F "product_name=Customer Portal" \
  -F "engagement_name=Q1 2024 Security Assessment" \
  -F "auto_create_context=true"

# 上传 Trivy 容器扫描结果
curl -X POST "${DD_URL}/reimport-scan/" \
  -H "Authorization: Token ${API_KEY}" \
  -F "scan_type=Trivy Scan" \
  -F "file=@trivy_results.json" \
  -F "product_name=Customer Portal" \
  -F "engagement_name=Q1 2024 Security Assessment" \
  -F "auto_create_context=true"

支持的扫描器类型（部分列表）

扫描器 类型字符串 格式
Nessus Nessus Scan CSV/XML
OpenVAS OpenVAS CSV CSV
Qualys Qualys Scan XML
OWASP ZAP ZAP Scan XML/JSON
Burp Suite Burp XML XML
Trivy Trivy Scan JSON
Semgrep Semgrep JSON Report JSON
Snyk Snyk Scan JSON
SonarQube SonarQube Scan JSON
Checkov Checkov Scan JSON

CI/CD 集成（GitHub Actions）

# .github/workflows/security-scan.yml
name: Security Scan
on: [push]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Semgrep
        run: |
          pip install semgrep
          semgrep --config auto --json -o semgrep_results.json .
      - name: Upload to DefectDojo
        run: |
          curl -X POST "${{ secrets.DD_URL }}/api/v2/reimport-scan/" \
            -H "Authorization: Token ${{ secrets.DD_API_KEY }}" \
            -F "scan_type=Semgrep JSON Report" \
            -F "file=@semgrep_results.json" \
            -F "product_name=${{ github.event.repository.name }}" \
            -F "engagement_name=CI/CD" \
            -F "auto_create_context=true"

Jira 集成

# 在 DefectDojo 设置中配置 Jira 集成
jira_config = {
    "url": "https://company.atlassian.net",
    "username": "jira-bot@company.com",
    "password": "jira_api_token",
    "default_issue_type": "Bug",
    "critical_mapping_severity": "Blocker",
    "high_mapping_severity": "Critical",
    "medium_mapping_severity": "Major",
    "low_mapping_severity": "Minor",
    "finding_text": "**Vulnerability**: {{ finding.title }}\n**Severity**: {{ finding.severity }}\n**CVE**: {{ finding.cve }}\n**Description**: {{ finding.description }}",
    "accepted_mapping_resolution": "Done",
    "close_status_key": 6,
}

指标与看板

关键指标 API 查询

# 按严重程度获取发现数量
resp = requests.get(f"{DD_URL}/findings/?limit=0&active=true",
                    headers=HEADERS)
findings = resp.json()

# 获取 SLA 违约数量
resp = requests.get(f"{DD_URL}/findings/?limit=0&active=true&sla_breached=true",
                    headers=HEADERS)

# 获取产品级指标
resp = requests.get(f"{DD_URL}/products/{product_id}/",
                    headers=HEADERS)
product_data = resp.json()

限制

资料中未提供关于功能边界、收费、价格、许可或性能上限的具体说明。